Inleiding

De aandacht voor risicomanagement is mede door de kredietcrisis flink toegenomen. Dit geldt ook voor fiscale risico’s. Werden fiscale risico’s voorheen niet of nauwelijks meegenomen binnen risicomanagement, de tijden veranderen en daarmee ook de aandacht voor het beheersen van de fiscale component binnen de organisatie.

De toenemende aandacht voor fiscaliteit van wettelijke organen en investeerders wordt mede veroorzaakt door de impact die fiscaliteit heeft op de financiële positie van bedrijven. Belanghebbenden, zoals investeerders, de Belastingdienst en andere toezichthoudende organisaties, vragen organisaties om een gewijzigde aanpak van fiscaliteit. Het is niet alleen belangrijk dat de juiste stappen gezet worden om te kunnen voldoen aan belastingwet- en -regelgeving, ook transparantie, inzicht in fiscale risico’s en een adequate implementatie van maatregelen om deze risico’s te beheersen worden steeds belangrijker. Dit zal er overigens niet alleen toe leiden dat organisaties hun fiscale risico’s beter kunnen beheersen, maar creëert daarnaast ook meer inzicht in de mogelijkheden om fiscale kansen te benutten.

Naast de zekerheid dat organisaties ‘in control’ zijn ten aanzien van hun fiscale positie, is het van belang dat organisaties dit kunnen aantonen aan hun belanghebbenden, zoals het audit committee, het management en de fiscale autoriteiten.

Bij de fiscale autoriteiten is een vergelijkbare trend waarneembaar. Zij zien in toenemende mate af van uitgebreide boekenonderzoeken van oude jaren en leggen, meer en meer, de focus op werken in de actualiteit, processen, fiscale strategieën en fiscaal risicomanagement. Deze zienswijze wordt ook door de Organisation for Economic Co-operation and Development (OECD) ([OECD08]) gepromoot.

In dit artikel worden de begrippen horizontaal toezicht en handhavingsconvenant kort toegelicht, en wordt het begrip Tax Control Framework nader uitgewerkt. Deze begrippen hebben hun oorsprong gevonden in de toegenomen aandacht voor fiscaliteit.

Horizontaal toezicht en handhavingsconvenant

De Belastingdienst ([Bela08]) beschrijft in zijn notitie het volgende over horizontaal toezicht: ‘Wroeten in oude belastingjaren was voor ondernemers onbevredigend, maar ook voor de Belastingdienst, die als één van de doelstellingen heeft zo actueel mogelijk te werken. Bij fiscale geschilpunten werden soms uiterste standpunten ingenomen. Er was weinig vertrouwen tussen de partijen waardoor er weinig informatie werd gedeeld. Het oplossen van geschilpunten leidde tot lange doorlooptijden en hoge kosten voor beide partijen. En dat was op zijn beurt niet compliance bevorderend, terwijl dat één van de hoofddoelstellingen van de Belastingdienst was. Om toch de hoofddoelstelling te kunnen realiseren heeft de Belastingdienst Horizontaal toezicht geïntroduceerd‘.

Horizontaal toezicht houdt kort gezegd in dat belastingplichtigen en de Belastingdienst elkaar op een andere manier gaan benaderen. Vertrouwen, openheid, transparantie en wederzijds respect vormen de basis. Horizontaal toezicht sluit hiermee aan bij corporate governance ontwikkelingen.

Het handhavingsconvenant is de ultieme vorm van horizontaal toezicht. In een handhavingsconvenant worden afspraken gemaakt over de wijze waarop beide partijen samenwerken. Wil een bedrijf in aanmerking komen voor een handhavingsconvenant, dan verwacht de Belastingdienst dat de onderneming een adequaat werkend Tax Control Framework (TCF) heeft, dan wel serieuze stappen onderneemt om binnen afzienbare tijd een TCF te implementeren.

Door horizontaal toezicht is de aandacht voor het TCF sterk toegenomen. Vaak wordt zelfs – ten onrechte – aangenomen dat het TCF een gevolg daarvan is. Ook ondernemingen die geen handhavingsconvenant hebben of ‘convenantachtig werken’ met de Belastingdienst, zouden een TCF moeten implementeren. Niet omdat de fiscale autoriteiten dat wensen, maar omdat zij zélf van mening zijn dat het beheersen van de fiscaliteit in de onderneming essentieel is voor een goede bedrijfsvoering. Een TCF zou dan ook niet beperkt moeten worden tot de Nederlandse fiscaliteit.

Tax Control Framework

Een Tax Control Framework (TCF) is een samenstel van processen en interne beheersingsmaatregelen (verder in dit artikel ook controls genoemd) dat ervoor moet zorgen dat de fiscale risico’s van een bedrijf bekend zijn en beheerst worden. Een TCF is een belangrijk middel om de totale fiscaliteit binnen een organisatie te beheersen.

Een TCF omvat in beginsel alle op de betreffende organisatie van toepassing zijnde belastingen, bijvoorbeeld vennootschapsbelasting, loonheffing, omzetbelasting, invoerrechten en accijnzen. Maar ook regulerende energiebelasting, kansspelbelasting, milieubelastingen, verpakkingenbelasting, BPM, vliegticketbelasting, etc. zouden in voorkomende gevallen in een TCF een plaats moeten krijgen. Ook het volledig, juist en tijdig doen van aangiften en betalingen valt binnen de scope van een TCF.

De hiervoor genoemde belastingsoorten hebben raakvlakken met nagenoeg alle bedrijfsprocessen. Het afsluiten van een verkooptransactie en het uitreiken van een factuur vindt plaats in het primaire bedrijfsproces en kan invloed hebben op de vennootschapsbelasting, omzetbelasting en af te dragen invoerrechten en accijnzen. Een TCF dient dan ook integraal onderdeel te zijn van een overkoepelend Business Control Framework (BCF).

Omdat de controleaanpak van de Belastingdienst in hoge mate wordt bepaald door de manier waarop een onderneming haar (fiscale) processen beheerst, zal de Belastingdienst het TCF beoordelen op ontwerp, bestaan en werking. De Belastingdienst stelt geen minimumeisen aan het TCF, maar reikt wel een handvat aan om tot een goed TCF te komen. Het COSO-model wordt door de Belastingdienst als logisch uitgangspunt genoemd omdat dit de internationale standaard is op het gebied van het opzetten van een intern beheersingssysteem en door veel bedrijven al gebruikt wordt voor het opzetten van het BCF.

Een TCF stelt de onderneming in staat haar fiscaal operationele en financiële doelen te bereiken en de fiscale strategie uit te voeren op een beheersbare en controleerbare wijze. Een TCF helpt de onderneming helder over fiscaliteit te communiceren met haar externe en interne belanghebbenden.

Voordelen TCF

Een TCF moet leiden naar een optimaal functionerende fiscale functie. Dit heeft verschillende voordelen:

• werken in de actualiteit;
• zekerheid over fiscale positie (geen ‘verrassingen’ meer);
• imagoverbetering, toename van vertrouwen van stakeholders;
• efficiëntere en effectievere inrichting van het beheersingssysteem rondom fiscaliteit:
  • verbeterde kwaliteit van de fiscale data;
  • snellere fiscale rapportages;
  • meer inzicht in de fiscale mogelijkheden door beter inzicht in de fiscale situatie;
• minder correcties bij fiscale controles en lagere controlekosten.

Overigens is een TCF niet alleen nuttig bij het afsluiten van een handhavingsconvenant. Een handhavingsconvenant wordt gesloten met de Nederlandse Belastingdienst en heeft een Nederlandse reikwijdte, een TCF kan echter ook internationaal worden ingezet (als integraal onderdeel van een BCF) waardoor de totale fiscaliteit van een organisatie ‘in control’ is.

Het ontwikkelen van een Tax Control Framework

In de voorgaande paragraaf is beschreven dat een TCF de totale fiscaliteit van een organisatie omvat en dat de meeste bedrijfsprocessen, veelal ondersteund door verschillende IT-systemen, direct van invloed hierop zijn. Veel beheersingsmaatregelen om risico’s te mitigeren worden in IT-systemen ingericht. De rol van IT (en hiermee de betrokkenheid van IT-adviseurs en -auditors) is dan ook essentieel in een TCF.

Voor het opzetten, implementeren en onderhouden van een TCF kan de in tabel 1 gegeven fasering worden gehanteerd. De rol van IT is per fase weergegeven.

Tabel 1. TCF-methodiek.

Fase 1 Planning

In fase 1 worden de doelstellingen en de reikwijdte van het TCF vastgesteld. Hierbij komen vragen aan de orde als: waar wil de organisatie het TCF voor gebruiken, op welke belastingsoort(en) wil de organisatie zich in eerste instantie richten, wordt het een TCF alleen voor Nederland of ook voor andere landen. Een ander belangrijk aspect is het opzetten van een projectteam en het creëren van de randvoorwaarden om het TCF-project te beheersen (o.a. projectmanagement en verkrijgen resources). Het is verstandig om eerst een beperkte pilot te draaien. In deze fase worden geen specifieke IT-activiteiten uitgevoerd.

Fase 2 Inzicht

In fase 2 wordt bij wijze van ‘nulmeting’ een groot aantal zaken in kaart gebracht. Zonder volledig te willen zijn noemen we de fiscale strategie, de juridische en fiscale structuur, de belangrijkste producten/diensten en markten, de fiscale organisatie, de taken en verantwoordelijkheden met betrekking tot belastingen, de belangrijkste belastingmiddelen, de relevante bedrijfsprocessen, IT-systemen (inclusief autorisatie-inrichting) en overige registraties. Deze brede oriëntatie op de organisatie is nodig om te onderkennen waar en op welke manier de fiscaliteit ingrijpt op de processen in de organisatie, zodat een gedegen fiscale risicoanalyse kan worden gemaakt. Tevens kan worden beoordeeld of en zo ja, in hoeverre deze risico’s door (geautomatiseerde) beheersingsmaatregelen worden afgedekt.

Omdat de ‘soft controls’ van grote invloed zijn op het adequaat werken van de ‘hard controls’, wordt ook hieraan aandacht besteed. Hierbij kan gedacht worden aan de ‘tone at the top’, de motivatie en scholing van medewerkers, de bedrijfscultuur, de aanwezigheid van een gedragscode, de beloningsstructuur, stijl van leidinggeven, normen en waarden en fiscaal bewustzijn. Ook de Belastingdienst zal – in het kader van het eventueel sluiten van een handhavingsconvenant – de soft controls bij de beoordeling van het TCF betrekken.

Uiteindelijk monden de werkzaamheden in deze fase uit in het benoemen en beschrijven van gebreken in het interne beheersingssysteem en een prioritering van de vervolgstappen in het project om deze gebreken weg te nemen.

IT heeft een actieve rol in deze fase bij het analyseren van processen en IT-systemen. Bij het uitvoeren van een risicoanalyse kan een IT-auditor of adviseur ook zijn ruime ervaring inbrengen.

Fase 3 Ontwerp

De ontwerpfase richt zich op het (her)ontwerpen van beheersingsmaatregelen. Uiteraard wordt daarbij aangesloten bij al bestaande maatregelen. Waar mogelijk zullen de maatregelen in de automatiseringsomgeving worden neergelegd, omdat geautomatiseerde beheersingsmaatregelen veelal efficiënter en effectiever zijn dan handmatige beheersingsmaatregelen. Dit geldt dan vooral voor maatregelen gericht op risico’s in de routinematige processen. Voor de niet-routinematige processen, zoals fusies, overnames, IPO of herfinancieringen, ligt een organisatorische, procedurele benadering meer voor de hand.

IT heeft een actieve rol bij het inventariseren van bestaande en het bepalen van toekomstige beheersingsmaatregelen in de fiscaal relevante IT-systemen.

Fase 4 Implementatie

Nieuwe en/of aangepaste beheersingsmaatregelen worden in deze fase gerealiseerd. Echter niet eerder dan nadat in samenspraak met het management een prioritering is gemaakt en een planning is neergelegd voor het verbetertraject. ‘Key controls’ en evidente ‘control gaps’ worden het eerst opgepakt, zodat met een eerste inspanning een grote vooruitgang kan worden geboekt. Communicatie met alle betrokken medewerkers en afdelingen is cruciaal in deze fase: indien nodig moeten medewerkers worden voorgelicht, geïnstrueerd en/of getraind. Het spreekt voor zich dat de rol van IT in deze fase ook belangrijk is om een praktisch werkend TCF te implementeren.

Fase 5 Monitoring

Het beoordelen van de opzet, het bestaan en de werking van de voor het TCF getroffen beheersingsmaatregelen wijkt niet wezenlijk af van het beoordelen van het bestaan en de werking van andere beheersingsmaatregelen die onderdeel uitmaken van het BCF. Voor zover mogelijk wordt deze toetsing geïncorporeerd in de management-controlprocessen (selfassessment), het controleplan van de internecontroleafdeling en/of meegenomen in de controle van de externe accountant.

Hoewel het bestaan en de werking voor een groot deel kunnen worden getoetst door directe waarneming, het opnieuw uitvoeren van maatregelen, proceduretests, lijncontroles, etc., hechten wij tevens veel belang aan het op onderdelen uitvoeren van gegevensgerichte bestandsanalyses en (mathematische) steekproeven. Daarmee kunnen op efficiënte wijze kritische posten worden geïdentificeerd en gecontroleerd. De Belastingdienst is bekend met deze methodieken en zal deze op waarde weten te schatten. Ook in deze fase zal IT een belangrijke rol vervullen.

Interessant in dit kader is de discussie over materialiteit. De materialiteit van de Belastingdienst is doorgaans veel lager dan de materialiteit voor de jaarrekening. De Belastingdienst wijst in dit kader echter op het feit dat op het ‘lage’ niveau van de bedrijfsprocessen materialiteit nauwelijks een rol speelt: beheersingsmaatregelen worden immers niet zo ingericht dat alleen materiële posten aan controle worden onderworpen. De lage materialiteitsnormen van de Belastingdienst lijken redelijk hanteerbaar als tevens de werking van de interne beheersingsmaatregelen in ogenschouw wordt genomen. De uit te voeren hoeveelheid gegevensgerichte (monitoring)werkzaamheden wordt dan sterk gereduceerd, omdat voor een groot deel kan worden gesteund op de getroffen interne beheersingsmaatregelen.

De bevindingen die voortvloeien uit de toetsing van het bestaan en de werking van het TCF vormen samen met wijzigingen in de interne en externe omgeving de basis voor continue aanpassingen en verbeteringen van het TCF.

Integratie TCF en BCF tot één platform

In zijn notitie schrijft de Belastingdienst dat het TCF moet worden gezien als onderdeel van het Business Control Framework (BCF). Veel bedrijven hebben met een BCF ervaringen opgedaan als gevolg van regelgevingen zoals de code-Tabaksblat en Sarbanes-Oxley.

In de praktijk zien wij dat het voor bedrijven (nog steeds) een uitdaging is om aan al deze regelgevingen te voldoen en dit aan te kunnen tonen. Om de werkdruk voor het uitvoeren van ‘test’- en ‘monitoring’-werkzaamheden op een – voor de business – acceptabel niveau te brengen is het noodzakelijk om een geïntegreerde BCF op te zetten met uiteindelijk een zogenaamd ‘single view of risk’ ([KPMG08]). Deze geïntegreerde BCF (figuur 1) omvat alle controls die noodzakelijk zijn om te voldoen aan de relevante wet- en regelgeving. Op deze manier worden controls die voor verschillende doeleinden zijn gedefinieerd, effectief en efficiënt toegepast.

Figuur 1. Geïntegreerde aanpak van BCF en TCF ([KPMG08]).

Ondersteuning door geautomatiseerde tools

Een volledig geïntegreerd BCF is vaak een complex geheel. Een geautomatiseerde controls monitoring tool kan hier uitkomst bieden. Op de markt zijn veel softwareapplicaties op het gebied van Governance, Risk en Compliance verkrijgbaar. Specifieke TCF-tooling is in opkomst.

KPMG Meijburg & Co ([KPMG09]) heeft in samenwerking met een risk-managementsoftwarebedrijf een applicatie ontwikkeld waarin een TCF volledig kan worden opgezet en beheerd (in eigen beheer van de organisatie) en dat volledig kan worden geïntegreerd of uitgebreid met (de aanwezige) risk-managementapplicaties. Deze applicatie is gebaseerd op COSO en bevat voorbeeldrisico’s en -controls voor nagenoeg alle fiscale middelen. Ook liggen de eisen en wensen van een groot aantal cliënten en ruime eigen praktijkervaring aan deze applicatie ten grondslag. Figuur 2 biedt een overzicht van de tax risk-managementsectie van de applicatie. Figuur 3 geeft één van de rapportagemogelijkheden weer, waarbij per entiteit, per belastingsoort en per proces de ‘in control’-status wordt getoond.

Figuur 2. Tax risk-managementsectie.[Klik hier voor grotere afbeelding]

Figuur 3. Rapportagesectie.[Klik hier voor grotere afbeelding]

De rol van ERP-systemen

Met het opzetten van een BCF is de afgelopen jaren binnen bedrijven veel ervaring opgedaan, en is in vele gevallen ook een volgend volwassenheidsniveau bereikt. Hiermee bedoelen wij, dat waar controls binnen de initiële BCF’s vooral manuele controls betroffen, deze zich steeds verder hebben ontwikkeld naar geautomatiseerde en daarmee vaak efficiëntere controls. Op deze ontwikkeling zou een TCF meteen kunnen aansluiten, zonder die leercurve opnieuw te hoeven doorlopen.

Je zou kunnen stellen dat fiscale controls zich uitsplitsen in controls die de kwaliteit van de aangifteprocessen moeten waarborgen en controls binnen de primaire bedrijfsprocessen die de input vormen voor het aangifteproces (zie figuur 4). Dit zijn dan vooral maatregelen die de juistheid en volledigheid van deze input moeten waarborgen. Zo kunnen er controls worden benoemd die ervoor moeten zorgen dat voor de diverse landen op tijd en met voldoende ‘checks and balances’ een btw-aangifte naar de autoriteiten wordt gestuurd. Dat betrekt zich op het aangifteproces. Binnen de bedrijfsprocessen zou met het oog op de foutenkans gewaarborgd kunnen zijn dat bij het opvoeren van een verkooporder btw-codes nooit handmatig kunnen worden ingevoerd, maar altijd automatisch door het systeem op basis van beslissingsregels worden bepaald. Hierdoor wordt de juistheid en volledigheid van de input voor de btw-aangifte via beslissingslogica gewaarborgd. Tabel 2 bevat een aantal voorbeelden van btw-risico’s en applicatiecontrols.

Figuur 4. Speelveld van fiscale controls.

Tabel 2. Voorbeelden van specifieke SAP btw-risico’s en applicatiecontrols[Klik hier voor grotere afbeelding] ([Zege07]).

In de meeste moderne ERP-systemen is het opzetten van deze logica een kwestie van parametriseren en masterdata-management. Het vaststellen van de kwaliteit van deze beslissingslogica is in dit geval een belangrijke control. Staat door testen of data-analyses eenmaal vast dat deze beslissingslogica goed werkt, dan kan hierop worden gesteund. Daarvoor zal wel moeten worden vastgesteld dat het change-managementproces binnen een ERP Competence Center voor het ERP-systeem in het algemeen en de beslissingslogica in het bijzonder van voldoende kwaliteit is. Een bijzonder aandachtspunt daarbij is, dat er bij de impactanalyse van een wijzigingsverzoek voldoende aandacht is voor de consequentie van de wijziging op fiscale compliance. Wat dat betreft is er ook niets nieuws onder de zon. Dit principe kennen we natuurlijk al lang uit de BCF’s.

Praktische tips voor het succesvol opzetten van een TCF

De auteurs hebben ruime praktijkervaring opgedaan met het ontwerpen, implementeren, onderhouden en optimaliseren van Business Control Frameworks en Tax Control Frameworks. Voor het succesvol opzetten van een TCF (of BCF) willen wij u graag de volgende praktische tips meegeven:

• Dynamisch. Een TCF moet dynamisch zijn, geen foto maar een film! Een TCF gaat verder dan een quick scan op fiscale risico’s en interne beheersingsmaatregelen. De afdeling fiscale zaken moet weten wat er binnen de organisatie gebeurt en hierbij betrokken worden. Geen kast vol papieren checklists.
• Klein beginnen. De kunst is om een werkbaar en beheersbaar TCF op te zetten. Afbakenen is noodzakelijk. Later uitbreiden kan altijd nog. Begin met één belastingmiddel, één divisie en een beperkte hoeveelheid risico’s. Zorgen voor draagvlak binnen de organisatie.
• Integratie. In tegenstelling tot wat velen denken, wordt een TCF juist niet alleen door de fiscale afdeling gebruikt. Maak gebruik van de andere afdelingen, zoals de riskmanagers, controllers, internal audit en IT. Samenwerken met deze afdelingen is een must om tot een goed en werkbaar TCF te komen, als onderdeel van het totale risk management van het bedrijf.
• Platform. Zorg voor een integraal platform voor (fiscaal) risicomanagement. Onze ervaring leert dat een organisatie doorgaans heel erg veel beheersingsmaatregelen en procedures heeft ontwikkeld voor business control frameworks, die nog niet als onderdeel van een TCF worden herkend en die in (papieren) procedures zijn vastgelegd. Eén geïntegreerd platform brengt dynamiek in het geheel. Integratie met een BCF is belangrijk.
• Geautomatiseerde tools. Een volledig geïntegreerd BCF is vaak een complex geheel. Een geautomatiseerde controls monitoring tool kan hier uitkomst bieden.
• Structuur. Een gestructureerde aanpak en vastlegging zorgt ervoor dat een TCF zich richt op de belangrijkste risico’s en processen.
• Communicatie. Organisaties zijn doorgaans in control. Wat moeilijker is, is om aan te tonen dat zij in control zijn. Het gaat om communicatie met andere afdelingen, in- en externe auditors, het bestuur, de fiscus en commissarissen. Een helder TCF met gestructureerde overzichten en rapportages is voor deze communicatie naar onze mening onontbeerlijk.

Verder willen wij graag tot slot nog een keer benadrukken dat de aandacht voor een TCF weliswaar sterk is toegenomen door horizontaal toezicht, maar dat het beheersen van de fiscaliteit in de onderneming van essentieel belang is voor een goede bedrijfsvoering. Een TCF zou dan ook niet beperkt moeten worden tot de Nederlandse fiscaliteit. Dit zal er overigens niet alleen toe leiden dat organisaties hun fiscale risico’s beter kunnen beheersen, maar creëert daarnaast ook meer inzicht in de mogelijkheden om fiscale kansen te benutten.